Mémoire embarquée : SSD, cartouches et effacement réel

Ce qu'un enregistreur demande à une mémoire

Un enregistreur d'essais en vol est un client de stockage atypique. Il écrit presque exclusivement, séquentiellement, à une cadence qu'il a annoncée d'avance, et il n'a pas le droit d'être en retard. Il n'y a pas de reprise : un échantillon qui ne peut pas être écrit à son arrivée est un échantillon qui n'a jamais existé, et aucun débit ultérieur ne le fait revenir.

C'est une exigence radicalement différente de celle pour laquelle le stockage grand public, et même serveur, est optimisé. Un support qui tient 500 Mo/s en moyenne mais s'arrête parfois quatre-vingts millisecondes est excellent dans un portable et inutilisable dans un enregistreur. La spécification qui vous intéresse est la pire milliseconde, pas la seconde moyenne.

Le soutenu n'est pas la pointe

Il est utile d'écrire le budget. Une sortie moyennement instrumentée ressemble à ceci.

Quinze mégaoctets par seconde ne sont rien pour un SSD moderne, et c'est précisément le point : l'enregistrement embarqué est rarement un problème de bande passante. C'est un problème de déterminisme, et la réponse tient dans une série de choix sans gloire — un tampon profond en RAM en amont du support, des écritures séquentielles alignées et volumineuses, une réserve généreuse pour que le contrôleur ne soit jamais acculé, et un support choisi parce que sa latence est régulière plutôt que parce que sa pointe est spectaculaire.

Notez aussi ce qui domine le tableau. Une seule caméra d'événement en intra pèse plus que tous les bus et toutes les voies analogiques de l'appareil. Les budgets de stockage sont décidés par la vidéo, et tout le reste est un arrondi.

Cartouche amovible ou support fixe

Une cartouche amovible transforme le déchargement en opération physique : l'appareil est rendu le temps d'échanger un module, et les données partent à pied vers la salle d'analyse. Elle fait aussi de la capacité un consommable — on achète des cartouches plutôt qu'un plus gros enregistreur — et elle fait de la manipulation du support une procédure documentée, avec toutes les questions de traçabilité et de classification que cela suppose.

Un support fixe déchargé par Ethernet a le profil inverse. Rien à perdre, rien à mal manipuler, aucun cyclage de connecteur sur le parking ; mais l'appareil reste immobilisé le temps du transfert, et une liaison gigabit qui déplace 160 Go, c'est vingt bonnes minutes dans le meilleur des cas.

La règle pratique, c'est le temps de rotation. Si l'appareil vole deux fois par jour, la cartouche gagne sans discussion. S'il vole une fois par semaine et que l'enregistreur est enfoui derrière un panneau, l'Ethernet est plus simple. Beaucoup d'installations finissent avec les deux : une cartouche pour les données de campagne, et un accès réseau pour jeter un œil à la dernière sortie sans rien ouvrir.

La réalité de la flash : usure, amplification et pauses

Les cellules flash supportent un nombre fini de cycles d'effacement — de l'ordre du millier pour les composants denses de qualité grand public, quelques milliers pour la MLC, quelques dizaines de milliers pour les cellules à un niveau utilisées là où l'endurance compte plus que la capacité. Ce nombre n'est pas une clause de garantie, c'est la durée de service de votre support.

L'arithmétique est simple et mérite d'être faite une fois. Remplissez complètement un support chaque jour ouvré, sur un composant donné pour mille cycles, et vous avez environ mille jours ouvrés — trois ans à peu près. Remplissez-en un dixième par jour et le support survivra au programme. Ce qui ruine l'estimation, ce ne sont pas les données de vol mais l'habitude de formater, recopier et retester sur la même cartouche.

L'amplification d'écriture est l'autre moitié du sujet. Un contrôleur obligé de déplacer des données existantes pour libérer un bloc écrit plus que ce que vous avez demandé, et le facteur d'amplification grimpe à mesure que le support se remplit et que les écritures deviennent aléatoires. Un enregistreur qui écrit de gros blocs séquentiels sur un support disposant de réserve, c'est le cas le plus favorable que la flash rencontre jamais — d'où le fait qu'un enregistreur maintenu à 90 % de remplissage se comporte nettement moins bien que le même à moitié vide.

Ce qu'un aéronef fait à une mémoire

• La température. Les composants de qualité industrielle sont spécifiés de −40 à +85 °C, et ce n'est pas une distinction commerciale : écrire chaud accélère l'usure, et un support hors tension laissé dans un appareil surchauffé perd sa rétention plus vite que le même support au bureau.
• L'altitude. Un disque tournant repose sur un coussin d'air et ne peut tout simplement pas être utilisé. Le solid-state n'a pas cette objection, ce qui a tranché le débat il y a vingt ans.
• Les vibrations. La flash s'en moque. Le connecteur, le mécanisme de maintien et les brasures, non — et c'est là qu'une cartouche amovible gagne ou perd sa réputation.
• La pollution et l'humidité. Une cartouche manipulée sur un parking ramasse tout ce qu'un parking contient ; un boîtier étanche et un connecteur sérieux ne sont pas du luxe.
• La qualification. Le support fait partie de l'équipement. Il traverse la même campagne DO-160 et MIL-STD-810 que l'enregistreur qui l'entoure, dans la configuration où il volera réellement.

La coupure d'alimentation, et le fichier jamais fermé

Un enregistreur perd son alimentation sans préavis, et il la perd précisément aux moments où vous vouliez le plus les données. Deux choses protègent l'enregistrement. Le support ne doit pas corrompre un bloc qu'il était en train d'écrire — c'est le rôle des condensateurs de protection contre les coupures dans un SSD industriel. Et la structure du fichier doit rester lisible alors qu'elle n'a jamais été fermée.

Cette seconde exigence est une décision de format, pas de stockage. Un conteneur dont l'index vit à la fin du fichier, ou qui ne devient valide qu'à la fermeture propre, transforme une coupure en perte totale. Un conteneur bâti sur des blocs autonomes qui se datent eux-mêmes se dégrade à exactement ce qui a été écrit, et pas un bloc de moins.

Un choix voisin concerne le système de fichiers. Un système standard — exFAT, NTFS — permet à n'importe qui de brancher le support sur un PC et de voir des fichiers, ce qui vaut beaucoup en exploitation. Une organisation propre à l'enregistreur résiste mieux à une coupure brutale et s'écrit plus vite, au prix d'un outil pour la relire. Les deux se défendent ; ce qui ne se défend pas, c'est de choisir le pratique puis de découvrir son comportement après une coupure pour la première fois sur une campagne réelle.

Effacer pour de vrai

Supprimer un fichier retire une entrée de répertoire. Un formatage rapide réécrit quelques structures. Ni l'un ni l'autre ne touche vos données, et sur de la flash la situation est pire que sur un disque : le nivellement d'usure signifie que le contrôleur a discrètement fait des copies dans des blocs qu'il ne mappe plus, si bien que même réécrire un fichier de bout en bout laisse des versions antérieures sur les puces. Quoi qu'en dise le système d'exploitation, l'enregistrement est toujours là.

Les vrais mécanismes sont l'effacement de toutes les cellules du support, un effacement cryptographique qui détruit la clé avec laquelle les données ont été chiffrées, ou la destruction physique des puces. Le deuxième est le plus intéressant : si l'enregistreur a chiffré à l'écriture, purger le support revient à détruire une clé, ce qui prend quelques secondes et ne laisse rien de lisible — pas de balayage de deux téraoctets, aucun doute sur les blocs de réserve.

Ce n'est pas une fonction de paranoïaque, c'est une fonction d'exploitation. Le même appareil, le même enregistreur et parfois la même cartouche servent des clients différents dans la même semaine, et ces clients sont fréquemment concurrents. Un effacement rapide dont on peut prouver qu'il est une purge, voilà ce qui rend possibles des campagnes successives sans acheter une cartouche par client. La destruction physique, elle, couvre le cas où aucune preuve d'effacement n'est acceptable.

Quel que soit le chemin retenu, inscrivez-le dans la procédure de campagne plutôt que de le laisser à la dernière personne qui tient la cartouche — avec le niveau, qui l'exécute, et quelle trace en est conservée.

Choisir la capacité

Durée de sortie multipliée par le débit soutenu, plus une marge pour la sortie qui s'allonge et pour celle qu'il faut refaire, plus de la place pour garder le support confortablement en dessous du plein, au bénéfice du contrôleur. Voilà tout le calcul, et il tombe généralement sur une capacité un cran au-dessus de l'estimation honnête.

Le seul endroit où plus de capacité n'est pas simplement mieux, c'est à l'intérieur d'un module protégé au crash : plus de gigaoctets veut dire plus de puces, plus de volume à protéger et plus de surface à isoler. Partout ailleurs, la capacité supplémentaire coûte de l'argent et achète de la marge, ce qui, sur une campagne qui ne vole qu'une fois, est le bon côté de l'arbitrage.